Bußgelder und Schadenersatz
Seit die DSGVO letztes Jahr in Kraft getreten ist, fragten sich viele, ob von den Aufsichtsbehörden nun wirklich Bußgelder verhängt werden, die den betroffenen Unternehmen „wehtun“. Diese Frage kann man mittlerweile als geklärt ansehen. Ich zitiere nur einige Beispiele für Bußgelder (die Höhe bemißt sich nach der Schwere des Verstoßes und dem Jahresumsatz):
- Auftragsverarbeitung begonnen,
ohne dass ein Vertrag zur Auftragsverarbeitung vorlag (d.h. Daten der Nutzer an Dritte weitergegeben):
5000€ Bußgeld
Kommentar: das kann ganz schnell gehen – Sie haben einfach übersehen, dass Sie Daten an Dritte weitergeben und diese Weitergabe als Auftragsverarbeitung einzustufen ist – jemand bekommt dies mit und beschwert sich bei der Aufsichtsbehörde. - Missachtung von Auskunfts-, Lösch- und Widerspruchsrechten
der Kunden in mehreren Fällen (10 Konten nicht nach Aufbewahrungsfrist gelöscht, Zusendung von Werbemails trotz Widerspruch an 8 Kunden, Selbstauskunft in 5 Fällen nicht erteilt):
195000€ Bußgeld
Kommentar: Stellen Sie sicher, dass Sie Informationen nur speichern, bis Sie sie nicht mehr benötigen und prüfen Sie vor dem Versand von Werbe- und Informationsmails – auch an gesammelte oder eingekaufte Mailadressen – sorgfältig, ob der Empfänger seine Einwilligung zur Zusendung gegeben hat und Sie dies ggfls. auch nachweisen können. Reagieren Sie zügig auf Auskunftsanfragen von Nutzern, auch wenn die „nur“ Ihre Website besucht haben – es läuft eine Frist von maximal 31 Tagen. - „Datenfriedhof“ (Zitat der Aufsichtsbehörde):
Speicherung von Mieterdaten inkl. Gehaltsabrechnungen, Selbstauskünften usw. ohne Prüfung, ob eine Speicherung der Daten (noch) zulässig oder erforderlich ist, in einem Archivsystem, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu löschen. Wegen der hohen Zahl von Betroffenen:
14,5 Millionen Euro Bußgeld
Kommentar: Dieser Fall fällt natürlich unter „sanfte Hinweise haben nicht geholfen“ – die Behörde hatte schon vor 2 Jahren nach einem Ortstermin auf die Mißstände hingewiesen, passiert war aber seitdem praktisch nichts. Nach der zweiten Kontrolle kam dann das Bußgeld. Daten, die Sie nicht mehr benötigen, sollten Sie identifizieren und löschen! Erarbeiten Sie dazu einen Prozess, den Sie einmal jährlich durchlaufen.
Zumindest in einigen dieser Fälle könnten die Betroffenen außerdem das Recht auf Schadenersatz haben. Wenn Sie Fragen zu diesen Fällen haben oder sich informieren wollen, wie Sie selbst Bußgelder vermeiden können, rufen Sie mich an.